Active Directory.pdf - Gattner

628 Kapitel 16: Active Directory Lightweight Directory Services
Die SIDs im Zugriffstoken werden mit der Liste der SIDs verglichen, welche die Zugriffsteuerungslisten
für das Objekt bilden, um sicherzustellen, dass der Benutzer über ausreichende Berechtigungen
für den Zugriff auf das Objekt verfügt.
Weitere Informationen Detaillierte Informationen zur Erstellung des Zugriffstoken finden Sie in Kapitel 8,
„Active Directory-Domänendienstsicherheit“.
Authentifizierung in den AD LDS
Wie die AD DS implementieren die AD LDS eine Authentifizierung, um die Identität von Benutzern
sicherzustellen. Wenn ein Benutzer versucht, sich bei den AD LDS zu authentifizieren, kann der
Benutzer abhängig vom Typ von den AD LDS, der LSA oder von Active Directory authentifiziert
werden. Tabelle 16.8 enthält die von den AD LDS unterstützten Authentifizierungstypen, die für jede
Authentifizierungsmethode geeigneten Benutzertypen und die Authentifizierungsautorität, welche die
Authentifizierung abwickelt.
Tabelle 16.8
Authentifizierungsmethoden in den AD LDS
Authentifizierungstyp Benutzertyp Beschreibung
Anonym Anonym Der Benutzer muss kein Kennwort angeben, weshalb er nicht authentifiziert
wird. Das einzige Objekt in den AD LDS, auf das ein anonymer
Benutzer standardmäßig Zugriff hat, istrootDSE.
Einfache LDAP-
Bindung
SASL-Bindung (über
Kerberos, NTLM oder
Aushandeln)
Bindungsumleitung
(einfache LDAP-Bindung
an die AD LDS,
anschließende SASL-
Bindung an die AD
DS)
AD LDS–Sicherheitsprinzipal
Lokaler Windows- oder AD
DS-Sicherheitsprinzipal
AD LDS-Proxyobjekt
AD LDS. AD LDS-Konten haben nur Zugriff auf Daten in derselben
Anwendungspartition, in der sich das jeweilige Benutzerkonto
befindet.
LSA auf dem lokalen Computer oder AD DS. Windows-Konten können
so konfiguriert werden, dass sie Zugriff auf Daten in allen Partitionen
der AD LDS-Instanzen haben.
LSA und AD DS. AD LDS-Proxyobjektkonten haben nur Zugriff auf
Daten in derselben Anwendungspartition, in der sich das Proxyobjekt
befindet.
Einfache LDAP-Bildung für AD LDS-Sicherheitsprinzipale Die einfache LDAP-Bindung erfolgt, wenn ein
Benutzer als AD LDS-Sicherheitsprinzipal eine Bindung zu den AD LDS herstellt. Diese Authentifizierungsmethode
verwendet eine einfache LDAP-Bildung. Bei der Standardauthentifizierung sind
keine SASL-Optionen verfügbar. Diese einfache LDAP-Bildung verwendet den definierten Namen
oder Benutzerprinzipalnamen (User Principal Name, UPN) des Sicherheitsprinzipals. Bei einer einfachen
LDAP-Bindung wird das Benutzerkennwort unverschlüsselt gesendet. Um den Authentifizierungsdatenverkehr
zu schützen, müssen Sie SSL zwischen den Client und den AD LDS-Server schalten.
Um SSL zu aktivieren, müssen Zertifikate auf dem Computer installiert werden, auf dem die AD
LDS ausgeführt werden. Darüber hinaus müssen die Clients, die sich mit den AD LDS verbinden, der
Zertifizierungsstelle vertrauen, die dem AD LDS-Server das Zertifikat ausstellt.